Codzienne aktualności, analizy i poradniki: co się wydarzyło, kogo dotyczy zagrożenie i co zrobić dalej. Tę wiedzę przekładamy także na praktyczne szkolenia dla organizacji.
Chmura, infrastruktura i DevSecOps Legacy gcp auth-provider z cmd-path omijał kontrolę blokującą exec. Złośliwa konfiguracja Kubernetes mogła uruchomić proces na współdzielonym workerze.
Bezpieczeństwo AI Parser pól Image i Audio wykonywał I/O podczas konwersji danych. Złośliwy model mógł wskazać lokalną ścieżkę i wysłać zawartość do endpointu LLM.
Podatności i CVE Oficjalny pakiet MSRC obejmuje 790 rekordów CVE. Priorytetem jest wykorzystywany błąd AFD, ale organizacje muszą ocenić także SharePoint, Office i Azure.
Łańcuch dostaw Przepełnienie 32-bitowej liczby psuje globalny offset puli CSPRNG. Kolejne identyfikatory mogą stać się stałym ciągiem, więc sama aktualizacja nie zawsze wystarczy.
Chmura, infrastruktura i DevSecOps Seria 35 podatności obejmuje command injection, IDOR i błędy autoryzacji. Wyjaśniamy zakres, poprawki w 0.29.13 i plan bezpiecznej aktualizacji.
Łańcuch dostaw Mały plik HDF5 może zadeklarować dane wielkości petabajtów i zatrzymać proces load_model(). Analizujemy poprawkę, ryzyko łańcucha modeli i obronę.
Podatności i CVE Brak uwierzytelnienia i traversal ścieżek mogą dać zdalne wykonanie kodu oraz możliwość wysyłania komend. Wyjaśniamy fakty i bezpieczną reakcję.
Podatności i CVE InfiniteWP Client przed 1.13.6 pozwalał związać obcy klucz i przejąć sesję administratora WordPress Multisite. Oto wpływ, detekcja i bezpieczna aktualizacja.
Bezpieczeństwo AI Zakodowane sekwencje katalogowe omijały normalizację Starlette, a pathlib wychodził poza katalog interfejsu. LoLLMs przed wersją 3 wymaga aktualizacji.
Podatności i CVE CVE-2026-71983–71993 obejmują WPS, VPN, filtrowanie i administrację routera. Wyjaśniamy wspólny błąd, ekspozycję i plan ograniczenia ryzyka.
Bezpieczeństwo AI Nowe luki w DataWorks MCP, mcp-google-search, Skill Ninja i spec-workflow pokazują, jak URL lub ścieżka z wywołania narzędzia przekracza granice sieci i workspace.
Bezpieczeństwo AI Złośliwy link i pośrednia prompt injection wykorzystywały uprawnienia użytkownika Rovo. Wyjaśniamy retrieval, exfiltration, konektory i kontrolę egress.
Podatności i CVE CISA dodała krytyczne command injection do KEV. Wyjaśniamy błąd inicjalizacji bufora, drogę do poleceń root, wersje naprawione i triage urządzenia.
Pentest i AppSec Container queries, webfonty i ligatury zamieniały odszyfrowany tekst w requesty sieciowe bez JavaScriptu. Wyjaśniamy atak i poprawną izolację klienta poczty.
Łańcuch dostaw Skompromitowane serwery TrueConf dystrybuowały klienta z backdoorem PhantomPxPigeon. Analizujemy łańcuch dostaw, podpisy kodu i plan incident response.
Raz w miesiącu zwięzłe podsumowanie istotnych podatności i zagrożeń. Bez spamu, wypiszesz się w każdej chwili.
